feat(security): IP 阶段性封禁，前3次触发不封禁、第4次起按档位递增

- 封禁规则：达到失败阈值记为一次触发，前 3 次只计数不封禁；
  第 4 次起封禁并按档位递增：30分钟（ban_duration_min）→ 3小时
  → 3个月 → 半年（上限）；封禁过期后保留记录作为升档依据，
  成功登录或管理员解封清零
- BanEntry 新增 BanCount（累计触发次数），每 IP 一条记录 upsert，
  不再重复建行；RecordAuthFailure 统一 Web/LDAP/SMTP/IMAP/POP3
  五处封禁逻辑，原因带档位（如"第1次封禁：登录失败次数过多
  （第4次触发，失败5次）"）
- 黑名单页修复：列表仅显示已封禁或曾封禁记录（原因/到期时间必填），
  新增封禁次数列与封禁中/已过期状态徽章，移除清理过期按钮
- 用户封禁页显示第 N 次封禁档位；新增档位升级与列表过滤单测

internal/smtp_server/server.go

@@ -199,11 +199,12 @@ func (s *smtpSession) Auth(mech string) (sasl.Server, error) {
 
 		user, err := s.backend.server.stores.Users.Authenticate(username, password)
 		if err != nil {
-			// 认证失败计数，达到阈值封禁（与 Web 登录共用 ban_entries）
+			// 认证失败计数，达到阈值按档位封禁（与 Web 登录共用 ban_entries）
 			s.backend.server.stores.RecordAuthFailure(
 				s.clientIP,
 				s.backend.server.banCfg.MaxFailAttempts,
 				s.backend.server.banCfg.BanDurationMin,
+				"邮件协议认证失败次数过多",
 			)
 			s.recordFail("用户名或密码错误")
 			return smtp.ErrAuthFailed